Cisco NX-OS: gNOI endpoint `LoadCertificateRequest` does not allow setting `ca_certificate`
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 5/5
- Tiempo estimado
- Más de una semana
- Aptitud para principiantes
- 28/100
- Tipo de issue
- Nueva funcionalidad
- Claridad
- Necesita aclaración
- Estado de actividad
- Activo
- Área
- networking, security
Línea de trabajo
Comienza con la definición de LoadCertificateRequest en gNOI cert.proto y ejecuta el script de reproducción enlazado contra Cisco NX-OS. Determina si network-operator tiene un punto de entrada para este endpoint y aclara si el alcance solicitado incluye compatibilidad con ca_certificate, la gestión de claves privadas o ambas cosas; el trabajo estará terminado cuando exista un procedimiento acordado y reproducible para la instalación de una CA privada.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Problem Statement
The Cisco NXOS gNOI API for the LoadCertificateRequest endpoint (see here) does not allow setting a ca_certificate, which prevents installing certificates from a private CA. The client cannot validate the chain of trust as it cannot be linked to the issuing CA because the field is missing. This restriction effectively limits certificate installation to self-signed certificates only.
This script can be run to trigger the condition.
Vendor Acknowledgement
Cisco has labeled this issue as a feature request rather than a bug, but we argue that in conjunction with #161, the gNOI endpoint cannot handle private CA installations at all. See CSCws33167.
Additionally, this gNOI endpoint leaks private keys to the disk by running crypto ca import $trustpoint pkcs bootflash:temp_pkcs_$hex_value cisco123 in the background, where cisco123 is a static password used on every import.
Workarounds
Provision and manage TLS certificates via ZTP and NX-API for better security and control over the certificate installation process.
- Lenguaje dominante
- Go
- Estrellas
- 12
- Forks
- 9
- Merge medio
- 3 d 15 h
- PR fusionados (30 d)
- 46
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de ironcore-dev/network-operator
-
area/switch-automation
Dificultad 5/5 Más de una semana Aptitud para principiantes 45/100
ironcore-dev/network-operator#440 · 4 comentarios ·
Los mantenedores suelen responder en 1 día
-
area/switch-automation firmware-bug vendor/cisco
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
ironcore-dev/network-operator#282 · 7 comentarios ·
Los mantenedores suelen responder en 1 día
-
Introduce a generic reconciler abstraction to reduce controller boilerplateQuizá libre de nuevo @felix-kaestner la tomó hace 198 días y no hay ningún pull request abierto. Abiertoarea/switch-automation enhancement
ironcore-dev/network-operator#257 · 3 comentarios · 1 asignado ·
Los mantenedores suelen responder en 1 día
-
area/switch-automation firmware-bug plattform/iosxr vendor/cisco
Dificultad 3/5 1-2 días Aptitud para principiantes 52/100
ironcore-dev/network-operator#178 · 3 comentarios · 1 reacción ·
Los mantenedores suelen responder en 1 día
-
area/switch-automation firmware-bug platform/nx vendor/cisco
Dificultad 4/5 3-5 días Aptitud para principiantes 45/100
ironcore-dev/network-operator#171 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de ironcore-dev/network-operator
Issues similares
-
Discriminator mapping keys are listed in a random orderPosiblemente ocupada @reuvenharrison la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día
-
Idle compaction monitors LIST the replica every tick when the newest destination file spans more than one TXIDPosiblemente ocupada @pishuv la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
benbjohnson/litestream#1563 ·
Los mantenedores suelen responder en 2 días
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 88/100
Los mantenedores suelen responder en 1 día
-
agent-research agent-review-finding chore
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
jordansmall/spindrift#4922 ·
Los mantenedores suelen responder en 1 día
-
gcsartifact: deleting a missing version returns an errorPosiblemente ocupada @ktsoator la tomó hoy. Abiertobug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 2 días